Ktoré rozhranie lokality RRAS si vyberie prichádzajúci tunel?
RRAS vyberá prichádzajúce rozhranie lokality podľa adresy partnera, používateľského mena alebo subjektu certifikátu, preto tento kľúč čítajte oddelene od stavov povolené a pripojené.
Na serveri Windows s niekoľkými medzilokalitnými rozhraniami nie je popis v konzole len poznámkou pre ľudí. RRAS používa konkrétne pole z prichádzajúceho pripojenia, aby rozhodol, ktoré logické rozhranie odpovie, a toto pole sa mení s metódou overovania. Pomýlite si kľúč a budete premenúvať rozhrania, kým sa niečo nepripojí náhodou. Pravidlo výberu, administratívny stav a stav relácie sú tri oddelené skutočnosti a iba jedna z nich je o pomenovaní.
Mýtus: premenované rozhranie bude zodpovedať čomukoľvek
Lákavá oprava, keď sa pobočka nemôže pripojiť, je vytvoriť alebo premenovať rozhranie lokality, kým nebude vyzerať ako volajúci. To funguje pre jednu metódu overovania a potichu zlyháva pri ostatných, a preto sa rovnaký postup odovzdáva s protichodnými výsledkami. Rozhranie lokality je logický objekt pripojenia s vlastným cieľom, chránenými predponami a stavom. Nie je to fyzický adaptér, ktorý prenáša šifrované pakety, takže pohľad na sieťové adaptéry vám nič nepovie o tom, ktorý objekt lokality bol vybraný.
Výber tiež nemá nič spoločné s bežnými používateľmi vzdialeného prístupu. Ak sa pripájajú klientske VPN zamestnancov, majú inú rolu a ich používateľské mená sa tohto mapovania nikdy nezúčastňujú. Potvrďte, do ktorej roly volajúci patrí, skôr než z nájdeného názvu čokoľvek vyvodíte.
Tri podoby overovania, tri kľúče výberu
Pri vopred zdieľanom kľúči sa nakonfigurovaná cieľová adresa rozhrania porovnáva s adresou prichádzajúceho partnera. Popis môže byť čokoľvek, pretože rozhodnutie nesie adresa. Pri overovaní podľa používateľského mena sa názov rozhrania porovnáva s používateľským menom, ktoré volajúci predloží. Tu je popis kľúčom, a práve preto môže premenovanie vyzerať, že jednu lokalitu opraví a inú pokazí.
Pri certifikátoch sa názov rozhrania porovnáva s názvom subjektu v predloženom certifikáte. Názov musí tomuto subjektu zodpovedať a pekný popis vymyslený operátorom nebude stačiť.
Z toho vyplývajú dva dôsledky. V usporiadaní s vopred zdieľaným kľúčom možno pre daný cieľ povoliť len jedno rozhranie, takže dve pobočky zdieľajúce jednu pozorovanú verejnú adresu nemôžu byť obe obsluhované duplicitnými záznamami. A platí tá metóda, ktorú ste skutočne nakonfigurovali, nech konzola navrhuje čokoľvek.
| Authentication in use | The field RRAS compares | Symptom when the two disagree |
|---|---|---|
| Pre-shared key | The peer address in the incoming connection against the interface destination | Renaming the interface changes nothing; a destination that does not match the caller stays unused |
| Username | The caller login against the interface name | A site with a friendly label never answers, while a differently named site may answer instead |
| Certificate | The subject name in the presented certificate against the interface name | An interface named after the office rather than the subject CN is never selected |
Povolené nie je pripojené
Administratívny stav hovorí, či logické rozhranie smie pracovať. Stav pripojenia hovorí, či práve teraz existuje relácia. Povolené rozhranie bez relácie je normálny pokojový stav pre spoj vytáčaný na požiadanie a hlásenie ako poruchy posiela ľudí za výpadkom, ktorý neexistuje.
Použite vyhľadanie podľa názvu alebo dokumentované vyhľadanie podľa domény smerovania, ale nie oba parametre súčasne, a spúšťajte ho v zamýšľanom kontexte servera. Ak očakávané rozhranie v prvom výpise chýba, problém je pred stavom: nebolo vybrané vôbec nič.
Čítajte dvojicu spolu, nie izolovane. Spoj, ktorý má zostať nadviazaný a javí sa ako odpojený, si zaslúži vyšetrenie, kým nečinný spoj na požiadanie, ktorý sa pripája podľa potreby, sa správa podľa návrhu. Administratívne zakázané rozhranie medzitým zostane tmavé, nech protistrana reštartuje svoj smerovač koľkokrát chce.
Ani jedna z hodnôt nedokazuje, že overenie prebehlo úspešne, že vyjednaná ochrana zodpovedá, že boli nainštalované trasy alebo že je privátna aplikácia povolená. To sú štyri rôzne otázky so štyrmi rôznymi odpoveďami.
Get-VpnS2SInterface | Select-Object Name, Destination, AdminStatus, ConnectionState
Get-VpnS2SInterface -Name 'Branch-A' | Format-List Name, Destination, AdminStatus, ConnectionStatePrečítajte transakciu identity, skôr než čokoľvek povolíte
Keď sa prichádzajúci volajúci namapuje na rozhranie, ktoré ste nečakali, užitočným dôkazom je identita, ktorú predložil, nie zoznam zakázaných rozhraní. Vytiahnite nedávne udalosti vzdialeného prístupu a prečítajte adresu volajúceho, výsledok overenia a názov vybraného rozhrania. Zakázané rozhranie môže byť zámerne vyradená lokalita alebo zakázaný partner. Povoliť ho, aby ste videli, či jedna chyba prihlásenia zmizne, je zmena konfigurácie s dôsledkami pre smerovanie a prístup, preto rozhodnutie preveďte cez vlastníka tohto vzťahu lokality, spolu s jeho cieľom, chránenými predponami a zásadami.
Ak je mapovanie skutočne nesprávne, opravte kľúč, nie príznak: opravte subjekt certifikátu alebo v prípade používateľského mena názov rozhrania a v prípade vopred zdieľaného kľúča cieľ. Potom sa raz znova pripojte a potvrďte, že ten istý volajúci teraz vyberá zamýšľaný objekt.
Get-WinEvent -LogName Application -MaxEvents 50 | Where-Object { $_.ProviderName -like '*RemoteAccess*' }Uzavrite slučku povolenou operáciou
Zelený stav nie je prijatie. Po výbere správneho rozhrania vygenerujte prevádzku, ktorú návrh dovoľuje, z hostiteľa v jednej chránenej predpone na hostiteľa v druhej, a potvrďte, že odpoveď sa vracia tou istou cestou. Rovnaký pokus vykonajte z hostiteľa, ktorý má byť odmietnutý, pomocou Test-NetConnection -ComputerName 10.44.2.10 -Port 445 proti službe, ktorú návrh vylučuje, a znova prečítajte udalosti vzdialeného prístupu. Spoj lokality, ktorý nesie viac než zamýšľané predpony alebo odpovedá službe, ktorú zásady vylučujú, je chyba smerovania, ktorú žiadna kontrola stavu neodhalí.
Zapíšte metódu overovania, kľúč výberu a povolené predpony spoločne do prevádzkovej príručky lokality. Ďalší inžinier narazí na tú istú tabuľku s tromi hodnotami a konvencia pomenovania dáva zmysel až vtedy, keď je tento kontext zapísaný.